> ## Content Index > Fetch the complete content index at: https://www.digitalbrain.news/llms.txt > Use this file to discover other available public pages before exploring further. # GPT-5.6 Sol halla vulnerabilidades críticas en PHP: actualiza ya - URL: https://www.digitalbrain.news/noticias/gpt-5-6-sol-vulnerabilidades-criticas-php-php2shell/ - Published: 2026-10-21T15:36:56.000Z - Updated: 2026-10-21T15:38:24.000Z - Description: PHP acaba de parchear dos vulnerabilidades críticas que dejan ejecutar código en un servidor sin iniciar sesión, y una de ellas salió a la luz… - Author: Ramón Pérez Coronado - Tags: #noticias, openai, ciberseguridad PHP acaba de parchear dos vulnerabilidades críticas que dejan ejecutar código en un servidor sin iniciar sesión, y una de ellas salió a la luz con [GPT-5.6](https://www.digitalbrain.news/glosario/#gpt) Sol, el modelo de [OpenAI](https://www.digitalbrain.news/glosario/#openai). Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre. Si tu web corre en PHP (WordPress, WooCommerce, PrestaShop, Laravel), te toca actualizar hoy. [OpenAI lo cuenta en su blog](https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities?ref=digitalbrain.news): la firma de seguridad Calif encontró un fallo crítico usando GPT-5.6 Sol dentro de su programa Patch the Planet, y Wiz descubrió y reportó las dos vulnerabilidades por su cuenta. OpenAI la describe como uno de los problemas de seguridad con más impacto que se recuerdan. ## Puntos clave - **Qué es:** dos fallos de ejecución remota de código sin autenticación en el núcleo de PHP, CVE-2026-109618 y CVE-2026-109619\. Ya circulan con el nombre de PHP2Shell. Unit 42, de Palo Alto, les da una nota CVSS de 9,2 sobre 10. - **A quién afecta:** a cualquier instalación de PHP que sirva peticiones web, según el equipo de PHP. Eso incluye PHP-FPM, Apache con mod\_php, php-cgi, FrankenPHP y LiteSpeed. Con mod\_php el riesgo es mayor. - **Qué hay que hacer:** subir a 8.5.12, 8.4.27, 8.3.36 o 8.2.35\. PHP 8.1 y anteriores ya no tienen soporte oficial. - **Por qué corre prisa:** la información se filtró antes de tiempo, ya hay un exploit público en GitHub y watchTowr ha visto ataques reales en sus honeypots desde el mismo 21 de octubre. ## ¿Qué es PHP2Shell y por qué es tan grave? Es la pareja de fallos que permite a un atacante tomar el control de un servidor con PHP mandando una sola petición, sin usuario ni contraseña. Según [Help Net Security](https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/?ref=digitalbrain.news), el exploit que ya funciona actúa antes de que se ejecute una sola línea del código de tu aplicación. Da igual lo bien hecha que esté tu web. Los dos fallos tienen origen distinto: - **CVE-2026-109618 (corrupción por falta de memoria).** Cuando PHP se queda sin memoria a mitad de una petición, puede interrumpirse con datos internos a medio inicializar. Luego, al limpiar, trata esos datos inválidos como si fueran buenos. - **CVE-2026-109619 (estado global caducado).** Un trozo de estado interno sobrevive después de que se libere la memoria que lo sostenía. La siguiente petición que atiende el mismo proceso puede usarlo antes de que se reinicie. Los dos viven en el código de sesiones de PHP, en la función que sigue el progreso de las subidas de archivos. Wiz lo resume así: los fallos llevaban décadas ahí, pero demostrar que se podían explotar exigía una cadena de pasos tan compleja que estaba en el límite de lo que un investigador humano puede hacer. Los modelos de frontera bajaron esa barrera. PHP mueve una parte enorme de la web. WordPress, por ejemplo, funciona sobre PHP y su equipo ya ha pedido a los dueños de webs que confirmen con su hosting cuándo actualizan. ## Cómo encontró GPT-5.6 Sol el fallo OpenAI explica que lleva dos meses coordinando una coalición de mantenedores, investigadores y empresas de seguridad para gestionar estas vulnerabilidades. Calif encontró el fallo con GPT-5.6 Sol. Wiz llegó a las dos vulnerabilidades por separado. Los mantenedores de PHP escribieron los parches y decidieron la publicación, y OpenAI, Wiz y Cloudflare aportaron investigación y coordinación. Calif ha querido dejar claro en X quién fue primero: su investigador, conocido como lcfr\_hax, descubrió PHP2Shell y tenía un exploit funcionando el 5 de agosto. Ese trabajo convenció a la PHP Foundation de arreglar toda esa clase de fallo de una vez. El plan era publicar el 22 de octubre. No salió así. Los identificadores CVE empezaron a circular por redes antes del anuncio y la PHP Foundation adelantó los parches un día. watchTowr confirmó en X que la filtración era real antes de que hubiera parche. OpenAI también trabajó con el Gobierno de Estados Unidos: la Super Intelligence Force de la Casa Blanca, la Oficina del Director Nacional de Ciberseguridad (ONCD) y la agencia de ciberseguridad CISA, además de socios internacionales. La NSA pidió a todas las organizaciones con PHP que estuvieran listas para actualizar. ## La reacción: webs desconectadas y reglas de firewall La respuesta ha sido de las serias: - El NCSC británico recomienda **desconectar cualquier sistema que no se pueda parchear ya**. - Finlandia ha tumbado webs de forma preventiva, según Bloomberg. - Cloudflare activó reglas de firewall contra los ataques conocidos a las 03:02 UTC, unas 9 horas antes de la publicación, y están disponibles para todos sus clientes, incluido el plan gratuito. Su CTO, Dane Knecht, avisa de que, por la filtración, ya estaban viendo a atacantes cambiar sus ataques para esquivar las reglas. - El equipo de PHP ha publicado parches mínimos para 7.4, 8.0 y 8.1 para quien compile PHP por su cuenta, aunque esas versiones ya no tengan soporte oficial. Un firewall de aplicaciones reduce el riesgo, pero no arregla el fallo. Cloudflare lo dice en su propio aviso: hay que actualizar igual. ## Cómo comprobar si tu web está expuesta Si tienes una web en WordPress o en cualquier otra aplicación PHP, estos son los pasos: 1\. **Mira qué versión de PHP usas.** En WordPress: Herramientas → Salud del sitio → Información → Servidor. Si tienes acceso al servidor, \`php -v\`. OpenAI ha publicado además un comprobador de versiones de PHP en la web de Patch the Planet. 2\. **Si es anterior a 8.2.35, 8.3.36, 8.4.27 o 8.5.12, estás afectado.** Las distribuciones de Linux y los proveedores con soporte extendido recibieron los parches antes de la publicación, así que mira si tu proveedor ya tiene paquetes nuevos. 3\. **Si estás en hosting compartido, escribe hoy a tu proveedor** y pregunta cuándo aplican la actualización. Es lo que recomienda WordPress. 4\. **Si no puedes actualizar ya**, varias firmas de seguridad recomiendan desactivar el seguimiento de subidas de PHP (\`session.upload\_progress.enabled=0\` en php.ini). Es un parche temporal mientras llega la versión buena. 5\. **Si estás en PHP 8.1 o anterior**, no hay parche oficial de la versión estándar. Toca hablar con tu proveedor o subir de versión. Ojo si usas el repositorio rpms.remirepo.net, que mantienen voluntarios: no iba a tener las actualizaciones el mismo día y recomiendan pasar a los paquetes de tu distribución o compilar PHP. ## Lo que viene: más fallos encontrados por IA La frase de OpenAI que más miga tiene está al final: estos fallos son solo algunos de varios importantes que ya han encontrado y están arreglando, y esperan que hallazgos así **aumenten mucho en los próximos meses**. Por eso propone un protocolo en cinco fases para gestionar vulnerabilidades críticas en software muy usado: validar y arreglar el fallo con el mantenedor, dar tiempo a las organizaciones afectadas para preparar defensas, coordinarse con los gobiernos, preparar actualizaciones en todos los productos afectados y publicar guías cuando haya parche. Ha abierto el texto a comentarios de la comunidad de seguridad. El mismo modelo que encuentra un fallo para un defensor se lo puede encontrar a un atacante. OpenAI lo reconoce en el anuncio, y por eso está ajustando filtros en Daybreak, su programa de ciberseguridad, para limitar el mal uso. En septiembre ya anunció [1.000 millones de dólares en acceso subvencionado a Daybreak](https://www.digitalbrain.news/noticias/openai-daybreak-1000-millones-servicios-esenciales/) para organizaciones con pocos recursos de seguridad, y [Anthropic](https://www.digitalbrain.news/guias/que-es-anthropic/) lanzó hace dos semanas [un escáner gratuito de vulnerabilidades para proyectos de código abierto](https://www.digitalbrain.news/noticias/anthropic-oss-scanner-vulnerabilidades-open-source/). ## Por qué importa Muchísimas pymes españolas tienen la web, la tienda online o la intranet en PHP y no saben qué versión corre debajo. Lo normal es que la web la montara una agencia hace años y nadie haya vuelto a tocar el servidor. Este fallo es justo el caso en el que eso sale caro: una sola petición sin contraseña y el atacante está dentro, con acceso a la base de datos de clientes. Y como hay exploit público, los ataques automáticos van a barrer internet buscando versiones viejas durante semanas. Mi consejo es simple: hoy mismo, que alguien de tu equipo mire la versión de PHP de cada web que tengáis y le escriba al hosting o a la agencia. Son 15 minutos. Y apúntate el aviso de OpenAI, porque si tiene razón, esto va a pasar más veces. Fuente original: [OpenAI](https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities?ref=digitalbrain.news) --- **Relacionado** [![Altman plantea tres finales para la IA y uno le parece terrible](https://storage.ghost.io/c/6d/e3/6de31f63-d0a8-45df-9c6a-481016520347/content/images/size/w300/format/webp/2026/10/altman-tres-finales-ia.jpg)Altman plantea tres finales para la IA y uno le parece terrible](https://www.digitalbrain.news/noticias/altman-tres-finales-ia-oiea-fusion-laboratorios/)[![Meta pausa compartir chats en Muse: 6.800 enlaces eran públicos](https://storage.ghost.io/c/6d/e3/6de31f63-d0a8-45df-9c6a-481016520347/content/images/size/w300/format/webp/2026/10/meta-muse-chats-compartidos-publicos-privacidad.jpg)Meta pausa compartir chats en Muse: 6.800 enlaces eran públicos](https://www.digitalbrain.news/noticias/meta-muse-chats-compartidos-publicos-privacidad/)